স্থানীয় অ্যাকাউন্টের বিশেষাধিকার উন্নত করতে PowerShell ব্যবহার করে

প্রিভিলেজ বর্ধিতকরণ হল একটি অ্যাকাউন্টের বর্তমান অধিকারের আক্রমণকারীর দ্বারা অতিরিক্ত, সাধারণত সিস্টেমে উচ্চ স্তরের অ্যাক্সেস লাভের জন্য ব্যবহার করা। যদিও বিশেষাধিকার বৃদ্ধি শূন্য-দিনের দুর্বলতা, বা প্রথম শ্রেণীর হ্যাকারদের লক্ষ্যবস্তু আক্রমণ পরিচালনার কাজ, বা ভাল ছদ্মবেশী ম্যালওয়্যারকে কাজে লাগানোর ফলাফল হতে পারে, এটি প্রায়শই কম্পিউটার বা অ্যাকাউন্টের ভুল কনফিগারেশনের কারণে হয়। আক্রমণকে আরও বিকাশ করে, আক্রমণকারীরা বেশ কয়েকটি পৃথক দুর্বলতা ব্যবহার করে, যা একসাথে একটি বিপর্যয়মূলক ডেটা ফাঁস হতে পারে।

কেন ব্যবহারকারীদের স্থানীয় প্রশাসকের অধিকার থাকা উচিত নয়?

আপনি যদি একজন নিরাপত্তা পেশাদার হন, তাহলে এটা স্পষ্ট মনে হতে পারে যে ব্যবহারকারীদের স্থানীয় প্রশাসকের অধিকার থাকা উচিত নয়, যেমন:

• তাদের অ্যাকাউন্টগুলিকে বিভিন্ন আক্রমণের জন্য আরও ঝুঁকিপূর্ণ করে তোলে
• সেই একই আক্রমণগুলিকে আরও গুরুতর করে তোলে

দুর্ভাগ্যবশত, অনেক প্রতিষ্ঠানের জন্য এটি এখনও একটি খুব বিতর্কিত বিষয় এবং কখনও কখনও উত্তপ্ত আলোচনার সাথে থাকে (দেখুন, উদাহরণস্বরূপ, আমার সুপারভাইজার বলেছেন যে সমস্ত ব্যবহারকারীদের স্থানীয় প্রশাসক হতে হবে) এই আলোচনার বিশদ বিবরণে না গিয়ে, আমরা বিশ্বাস করি যে আক্রমণকারী তদন্তাধীন সিস্টেমে স্থানীয় প্রশাসকের অধিকার অর্জন করেছিল, হয় একটি শোষণের মাধ্যমে বা মেশিনগুলি যথাযথভাবে সুরক্ষিত ছিল না।

ধাপ 1 PowerShell এর সাথে DNS রেজোলিউশন রিভার্স করুন

ডিফল্টরূপে, PowerShell অনেক স্থানীয় ওয়ার্কস্টেশনে এবং বেশিরভাগ উইন্ডোজ সার্ভারে ইনস্টল করা থাকে। এবং যদিও এটি অতিরঞ্জিত নয় যে এটি একটি অবিশ্বাস্যভাবে দরকারী অটোমেশন এবং নিয়ন্ত্রণ সরঞ্জাম হিসাবে বিবেচিত হয়, এটি নিজেকে প্রায়-অদৃশ্যে রূপান্তর করতে সমানভাবে সক্ষম ফাইলহীন ম্যালওয়্যার (একটি হ্যাকিং প্রোগ্রাম যা আক্রমণের চিহ্ন রেখে যায় না)।

আমাদের ক্ষেত্রে, আক্রমণকারী একটি PowerShell স্ক্রিপ্ট ব্যবহার করে নেটওয়ার্ক পুনরুদ্ধার করতে শুরু করে, ক্রমানুসারে নেটওয়ার্ক আইপি অ্যাড্রেস স্পেসে পুনরাবৃত্তি করে, একটি প্রদত্ত আইপি একটি হোস্টকে সমাধান করে কিনা তা নির্ধারণ করার চেষ্টা করে এবং যদি তাই হয়, তাহলে এই হোস্টের নেটওয়ার্ক নাম কী।
এই কাজটি সম্পন্ন করার অনেক উপায় আছে, কিন্তু cmdlet ব্যবহার করে পাওয়া-ADCcomputer একটি কঠিন বিকল্প কারণ এটি প্রতিটি নোড সম্পর্কে সত্যিই সমৃদ্ধ ডেটা প্রদান করে:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

যদি বড় নেটওয়ার্কে গতি একটি সমস্যা হয়, তাহলে একটি DNS কলব্যাক ব্যবহার করা যেতে পারে:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

একটি নেটওয়ার্কে হোস্ট তালিকাভুক্ত করার এই পদ্ধতিটি খুবই জনপ্রিয়, কারণ বেশিরভাগ নেটওয়ার্ক শূন্য-বিশ্বাস সুরক্ষা মডেল ব্যবহার করে না এবং কার্যকলাপের সন্দেহজনক বিস্ফোরণের জন্য অভ্যন্তরীণ DNS প্রশ্নগুলি নিরীক্ষণ করে না।

ধাপ 2: একটি লক্ষ্য চয়ন করুন

এই পদক্ষেপের শেষ ফলাফল হল সার্ভার এবং ওয়ার্কস্টেশন হোস্টনামের একটি তালিকা প্রাপ্ত করা যা আক্রমণ চালিয়ে যেতে ব্যবহার করা যেতে পারে।

নাম থেকে, 'হাব-ফিলার' সার্ভারটি একটি যোগ্য লক্ষ্যের মতো মনে হচ্ছে, যেহেতু সময়ের সাথে সাথে, ফাইল সার্ভারগুলি, একটি নিয়ম হিসাবে, প্রচুর সংখ্যক নেটওয়ার্ক ফোল্ডার জমা করে এবং অনেক লোকের দ্বারা সেগুলিতে অত্যধিক অ্যাক্সেস।

উইন্ডোজ এক্সপ্লোরারের সাথে ব্রাউজিং আমাদের একটি খোলা শেয়ার্ড ফোল্ডারের উপস্থিতি সনাক্ত করতে দেয়, কিন্তু আমাদের বর্তমান অ্যাকাউন্ট এটি অ্যাক্সেস করতে পারে না (সম্ভবত আমাদের শুধুমাত্র তালিকার অধিকার আছে)।

ধাপ 3: ACL শিখুন

এখন, আমাদের HUB-FILER হোস্ট এবং টার্গেট শেয়ারে, আমরা ACL পেতে একটি PowerShell স্ক্রিপ্ট চালাতে পারি। আমরা স্থানীয় মেশিন থেকে এটি করতে পারি, যেহেতু আমাদের ইতিমধ্যে স্থানীয় প্রশাসকের অধিকার রয়েছে:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

কার্যকরী ফলাফল:

এটি থেকে আমরা দেখতে পাই যে ডোমেন ব্যবহারকারী গোষ্ঠীর শুধুমাত্র তালিকার অ্যাক্সেস রয়েছে, তবে হেল্পডেস্ক গ্রুপেরও পরিবর্তন করার অধিকার রয়েছে।

ধাপ 4: অ্যাকাউন্ট সনাক্তকরণ

চলমান ADGroupMember পান, আমরা এই গ্রুপের সকল সদস্য পেতে পারি:

Get-ADGroupMember -identity Helpdesk

এই তালিকায় আমরা একটি কম্পিউটার অ্যাকাউন্ট দেখতে পাই যা আমরা ইতিমধ্যে সনাক্ত করেছি এবং ইতিমধ্যে অ্যাক্সেস করেছি:

ধাপ 5: একটি কম্পিউটার অ্যাকাউন্ট হিসাবে চালানোর জন্য PSExec ব্যবহার করুন

PSExec Microsoft Sysinternals থেকে আপনাকে SYSTEM@HUB-SHAREPOINT সিস্টেম অ্যাকাউন্টের প্রেক্ষাপটে কমান্ড চালানোর অনুমতি দেয়, যা আমরা জানি হেল্পডেস্ক টার্গেট গ্রুপের সদস্য। অর্থাৎ, আমাদের শুধু করতে হবে:

PsExec.exe -s -i cmd.exe

ঠিক আছে, তাহলে আপনার লক্ষ্য ফোল্ডার HUB-FILERshareHR-এ সম্পূর্ণ অ্যাক্সেস রয়েছে, যেহেতু আপনি HUB-SHAREPOINT কম্পিউটার অ্যাকাউন্টের প্রসঙ্গে কাজ করছেন। এবং এই অ্যাক্সেসের সাথে, ডেটা একটি পোর্টেবল স্টোরেজ ডিভাইসে অনুলিপি করা যেতে পারে বা অন্যথায় পুনরুদ্ধার এবং নেটওয়ার্কের মাধ্যমে প্রেরণ করা যেতে পারে।

ধাপ 6: এই আক্রমণ সনাক্ত করা

এই বিশেষ অ্যাকাউন্ট প্রিভিলেজ টিউনিং দুর্বলতা (ব্যবহারকারী অ্যাকাউন্ট বা পরিষেবা অ্যাকাউন্টের পরিবর্তে নেটওয়ার্ক শেয়ার অ্যাক্সেস করে কম্পিউটার অ্যাকাউন্ট) আবিষ্কার করা যেতে পারে। যাইহোক, সঠিক সরঞ্জাম ছাড়া, এটি করা খুব কঠিন।

এই শ্রেণীর আক্রমণ সনাক্ত এবং প্রতিরোধ করতে, আমরা ব্যবহার করতে পারি ডেটা অ্যাডভান্টেজ তাদের মধ্যে কম্পিউটার অ্যাকাউন্ট সহ গ্রুপগুলি সনাক্ত করতে এবং তারপরে তাদের অ্যাক্সেস অস্বীকার করতে। ডেটা অ্যালার্ট আরও এগিয়ে যায় এবং আপনাকে এই ধরনের পরিস্থিতির জন্য বিশেষভাবে একটি বিজ্ঞপ্তি তৈরি করতে দেয়।

নীচের স্ক্রিনশটটি একটি কাস্টম বিজ্ঞপ্তি দেখায় যা প্রতিবার একটি কম্পিউটার অ্যাকাউন্ট পর্যবেক্ষণ করা সার্ভারে ডেটা অ্যাক্সেস করার সময় ফায়ার হবে৷

PowerShell এর সাথে পরবর্তী পদক্ষেপ

আরও জানতে চাও? সম্পূর্ণ বিনামূল্যে অ্যাক্সেসের জন্য "ব্লগ" আনলক কোড ব্যবহার করুন পাওয়ারশেল এবং অ্যাক্টিভ ডিরেক্টরি বেসিক ভিডিও কোর্স.

উত্স: www.habr.com